Kaip vesti asmens duomenų saugumo pažeidimų žurnalą?

BDAR 33 str. 5 d.: duomenų valdytojas dokumentuoja visus asmens duomenų saugumo pažeidimus, įskaitant faktus, jų poveikį ir taisomuosius veiksmus. Tie dokumentai turi leisti VDAI patikrinti, ar laikomasi šio straipsnio.

Žodis „visus" yra svarbiausias. 72 valandų pranešimo pareiga taikoma ne kiekvienam pažeidimui, o žurnalo pareiga taikoma kiekvienam. Todėl klaidingai išsiųstas laiškas su asmens duomenimis, pamestas nešiojamas kompiuteris su užšifruotu disku ar per klaidą kolegai atverstas aplankas – visa tai į žurnalą.

Europos duomenų apsaugos valdyba (EDPB) savo gairėse 9/2022 prideda dar vieną dalyką: užrašykite savo sprendimų motyvus. Ypač tada, kai nusprendžiate VDAI nepranešti.

BDAR žurnalo formos nenustato. EDPB gairės sako, kad forma – valdytojo sprendimas, bet įrašas turi apimti priežastis, kas įvyko, kokie duomenys paveikti, pasekmes ir taisomuosius veiksmus. Šie 12 laukų tai padengia:

Laukai 9 ir 10 yra tie, kuriuose užrašomi sprendimai, todėl juos verta pildyti atidžiausiai.

Nr. 3. Įrašyta 2026-03-12.
Įvyko: 2026-03-11, 16:40. Sužinojome: 2026-03-12, 09:15, klientas atsakė į laišką.
Kas įvyko: vadybininkas išsiuntė sąskaitą vienam klientui su kito kliento sąskaita priede. Priežastis – rankiniu būdu pasirinktas netinkamas failas.
Duomenys: vieno fizinio asmens vardas, pavardė, adresas, sąskaitos suma. Žmonių: 1.
Rizika: pavojaus mažai tikėtina. Gavėjas yra žinomas verslo klientas, jis patvirtino raštu, kad failą ištrynė; finansinių ar tapatybės duomenų, leidžiančių sukčiauti, nebuvo.
VDAI: nepranešta – pažeidimas neturėtų kelti pavojaus žmogaus teisėms (BDAR 33 str. 1 d.), motyvai aukščiau.
Žmogui: informuotas telefonu 2026-03-12, 11:00, nors didelės rizikos nėra.
Veiksmai: gavėjo patvirtinimas gautas; nuo 2026-03-15 sąskaitos siunčiamos iš apskaitos sistemos, ne rankiniu būdu.
Atsakingas: administracijos vadovė. Būsena: uždaryta 2026-03-15.

Svarbu: gavėjo patvirtinimas, kad jis ištrynė duomenis, pažeidimo nepanaikina. Jis tik sumažina riziką, todėl įrašomas į rizikos vertinimą, o ne vietoje įrašo.

BDAR 33 str. 1 d. leidžia VDAI nepranešti tik tada, kai pažeidimas neturėtų kelti pavojaus fizinių asmenų teisėms ir laisvėms. Tai jūsų išvada, todėl ją reikia pagrįsti.

Tai nėra teisinis testas, o praktinis supaprastinimas EDPB rizikos veiksnių. Geras motyvas atsako bent į tris klausimus:

1. Kokie duomenys ir kiek? Vardas ir el. paštas – viena; asmens kodas ar sveikatos duomenys – visai kas kita.
2. Kas juos gavo ar galėjo pasiekti? Žinomas ir patikimas gavėjas ar nežinomas asmuo?
3. Ar duomenys buvo apsaugoti? Pavyzdžiui, užšifruotas diskas, kurio raktas nepateko kartu su įrenginiu.

Jei rizika yra didelė, reikia pranešti ir patiems žmonėms (BDAR 34 str. 1 d.). Jei nepranešate, nes taikote vieną iš 34 str. 3 d. išimčių, pavyzdžiui, duomenys buvo užšifruoti, EDPB rekomenduoja turėti tam įrodymą.

Pranešti reikia nepagrįstai nedelsiant, o 72 valandos yra viršutinė riba, „jei įmanoma". Jei pranešate vėliau, prie pranešimo pridedamos vėlavimo priežastys (BDAR 33 str. 1 d.). Jei visos informacijos dar neturite, geriau pranešti laiku ir papildyti etapais (33 str. 4 d.), nei vėluoti. Žurnalas su tikslia sužinojimo valanda (3 laukas) parodo, nuo kada skaičiuojamas laikas; kartu su užrašytomis priežastimis jis gali padėti parodyti, kad vėlavimas pagrįstas.

Jei duomenis jūsų vardu tvarko tiekėjas, jis apie pažeidimą privalo nepagrįstai nedelsdamas pranešti jums (BDAR 33 str. 2 d.). Sprendimą pranešti VDAI priimate jūs, ir įrašas atsiranda jūsų žurnale. EDPB gairės sako, kad valdytojas laikomas sužinojusiu, kai tvarkytojas jį informavo – nuo tada jums ir prasideda 72 valandos. Todėl sutartyje su tiekėju verta numatyti, per kiek laiko ir kokią informaciją jis jums pateikia.

Užtenka vienos lentelės, prie kurios prieigą turi tik keli žmonės. EDPB gairės leidžia pažeidimus fiksuoti ir kartu su tvarkymo veiklų registru, jei pažeidimų įrašus lengva atskirti ir pateikti paprašius.

Kiek laiko saugoti žurnalą, BDAR nenustato. Saugokite tiek, kad galėtumėte įrodyti atitiktį; jei įrašuose yra asmens duomenų, terminą nustatote patys, kaip ir kitiems duomenims.

Susikurkite lentelę su 12 laukų šiandien, kol pažeidimo dar nėra. Kai jis įvyks, 72 valandos prasidės nuo tos akimirkos, kai sužinosite, ir laiko kurti formą nebus. Įrankyje nemokamai patikrinsite, ar jums privalomas tvarkymo veiklų registras, – pažeidimų žurnalas dažniausiai vedamas šalia jo.

Ar žurnalas privalomas, jei per metus nebuvo nė vieno pažeidimo?
Pareiga yra dokumentuoti pažeidimus. Tuščio žurnalo įstatymas nereikalauja, bet paruošta forma sutaupo laiko tada, kai skaičiuojamos valandos.

Ar į žurnalą rašyti klaidingai išsiųstą el. laišką?
Taip, jei laiške buvo asmens duomenų. Tai saugumo pažeidimas, net jei pavojaus mažai tikėtina ir VDAI pranešti nereikia.

Ar VDAI gali paprašyti žurnalo?
Taip. BDAR 33 str. 5 d. sako, kad dokumentai turi leisti priežiūros institucijai patikrinti, ar laikomasi šio straipsnio.

Kas nuo ko skaičiuoja 72 valandas?
Nuo to momento, kai valdytojas sužinojo apie pažeidimą. Todėl 3 laukas yra su valanda, ne tik su data.

• Ką daryti įvykus duomenų saugumo pažeidimui?
• Išsiuntėme duomenis ne tam žmogui – ar reikia pranešti?
• Kaip atsakyti į VDAI paklausimą?

Teisė ir rizika: BDAR auditas, atitikties dokumentai ir konsultacijos – dat.lt

• Visų pažeidimų dokumentavimas – BDAR 33 str. 5 d.
• Pranešimas VDAI nedelsiant, ne vėliau kaip per 72 valandas, ir vėlavimo priežastys – BDAR 33 str. 1 d.; pranešimo turinys – 33 str. 3 d.; pranešimas etapais – 33 str. 4 d.
• Tvarkytojo pareiga pranešti valdytojui – BDAR 33 str. 2 d.
• Pranešimas žmonėms esant didelei rizikai – BDAR 34 str. 1 d.; išimtys – 34 str. 3 d.
• Atskaitomybė – BDAR 5 str. 2 d.
• Motyvų dokumentavimas, žurnalo forma ir saugojimas – EDPB gairės 9/2022 dėl pranešimo apie asmens duomenų saugumo pažeidimą, 2.0 versija, 31, 34, 44, 114 ir 121–126 punktai; bendras registras su tvarkymo veiklų registru – 47 išnaša.

BDAR skaitytas iš oficialaus lietuviško teksto (OL L 119, 2016-05-04). EDPB gairės skaitytos iš oficialaus PDF (angliškai, priimta 2023-03-28). Tekstas yra bendro pobūdžio informacija ir neatstoja individualios teisinės konsultacijos.